Softwarebescheinigung Standardsoftware Microsoft Dynamics NAV

Softwarebescheinigung
Standardsoftware
Microsoft Dynamics NAV 2015
Teilgebiet Finanzbuchhaltung
für die
Microsoft Ireland Research
Dublin
Juni 2015
Hamburg, den 22.07.2015
Dokument ausgeliefert an:
Bernd Kutz
BSS Business Solutions for Services Ost GmbH
Köpenicker Str. 325
12555 Berlin
Haftungs- und Weitergabebedingungen akzeptiert: JA
INHALTSVERZEICHNIS
INHALTSVERZEICHNIS
ANLAGENVERZEICHNIS ................................................................................ II
1
AUFTRAG .................................................................................................. 1
2
AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE ............................................ 3
3
DV-ANWENDUNG......................................................................................... 5
3.1
3.2
Hardware/Systemsoftware Microsoft Dynamics NAV 2015 ........................................ 5
Anwendungssoftware .................................................................................... 5
4
PRÜFUNGSKRITERIEN ................................................................................... 7
5
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE ........................................ 8
5.1
5.2
5.2.1
5.2.1.1
5.2.1.2
5.2.1.3
5.2.1.4
5.2.1.5
5.2.1.6
5.2.1.7
5.2.1.8
5.3
5.3.1
5.3.2
5.4
Softwareentwicklungsverfahren ....................................................................... 8
Angemessenheit der Programmfunktionen ......................................................... 10
Notwendige und spezielle Verarbeitungsfunktionen.............................................. 10
Belegfunktion ............................................................................................ 10
Journalfunktion ......................................................................................... 12
Kontenfunktion .......................................................................................... 13
Protokollierungsfunktionen ........................................................................... 14
Zugriffsschutz............................................................................................ 15
Datensicherungs- und Wiederanlaufverfahren ..................................................... 17
Anforderungen nach der Abgabenordnung ......................................................... 17
E-Bilanz ................................................................................................... 18
Funktionsfähigkeit der Programmfunktionen ...................................................... 18
Eingabekontrollen....................................................................................... 18
Verarbeitung ............................................................................................. 19
Dokumentation .......................................................................................... 20
6
ZUSAMMENFASSENDES ERGEBNIS UND SOFTWAREBESCHEINIGUNG ....................... 22
Seite i
ANLAGENVERZEICHNIS
ANLAGENVERZEICHNIS
1
Allgemeine Auftragsbedingungen
Seite ii
AUFTRAG
1
AUFTRAG
Die Microsoft Ireland Research, Dublin (nachfolgend „Microsoft“ oder „Gesellschaft“ genannt), beauftragte die BDO AG Wirtschaftsprüfungsgesellschaft, Hamburg, die rechnungslegungsrelevanten Programme / Funktionen der Anwendung
Microsoft Dynamics NAV 2015
Teilgebiet Finanzbuchhaltung
gemäß den vorgegebenen Prüfungsstandards zu prüfen.
Die Prüfung stellte die Fortführung unserer Prüfung der Vorgängerversion Microsoft Dynamics NAV 2013 dar. Die Ergebnisse der Prüfung sind in diesem Bericht beschrieben.
Der Funktionsumfang der untersuchten Anwendung ist in Kapitel 3 „DV-Anwendung“ beschrieben.
Die Prüfung sowie die anschließende Berichtsfertigstellung wurden im Juni 2015 in unseren Geschäftsräumen vorgenommen.
Unsere Vorgehensweise, Feststellungen und Empfehlungen sind im folgenden Bericht erläutert.
Die Vollständigkeit und Richtigkeit sämtlicher uns übergebener Unterlagen sowie der Angaben, Erläuterungen und Auskünfte, die für die Prüfung und Bescheinigung der Software
von Bedeutung waren, bestätigte Microsoft in einer schriftlichen Erklärung.
Die zum Funktionsumfang gehörenden Programme und Dokumentationsbestandteile (Anwenderhandbücher etc.) wurden uns als virtueller Rechner bzw. in elektronischer Form
zur Verfügung gestellt. Die Programme und Dokumentationsbestandteile wurden von uns
gesichert und sind unseren Arbeitspapieren beigefügt.
Die Prüfungsergebnisse basieren auf den uns zur Verfügung gestellten Unterlagen, den
von den Mitarbeitern erteilten Auskünften sowie unseren Prüfungshandlungen auf einem
bereitgestellten Testsystem.
Die Prüfung umfasste die berufsübliche Vorgehensweise und war auf die Beurteilung der
Ordnungsmäßigkeit und Sicherheit des Verfahrens, nicht dagegen auf die Beurteilung der
Wirtschaftlichkeit ausgerichtet.
Die Prüfung erfolgte auf Grundlage des IDW Prüfungsstandards „Die Prüfung von Softwareprodukten“ (IDW PS 880, Stand 11. März 2010).
Für die Durchführung des Auftrages und unsere Verantwortlichkeit, auch gegenüber Dritten, gelten die als Anlage 1 beigefügten „Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften“ sowie unsere „Sonderbedingungen
für die Erhöhung der Haftung im Rahmen der Allgemeinen Auftragsbedingungen“ jeweils
in der Fassung vom 1. Januar 2002.
In Broschüren oder sonstigen Veröffentlichungen der Gesellschaft über die Anwendung
Microsoft Dynamics NAV 2015 darf auf BDO nicht namentlich hingewiesen werden.
Seite 1
AUFTRAG
Eine Weitergabe des schriftlichen Berichtes an andere Gesellschaften ist nur möglich,
wenn die jeweilige Gesellschaft als Drittbeteiligte vor Erhalt des Berichtes die rechtsverbindliche Erklärung abgibt, sich bezüglich etwaiger eigener Ansprüche gegenüber der BDO
AG Wirtschaftsprüfungsgesellschaft, Hamburg, mit der Geltung der Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften vom 1. Januar
2002 und unserer Sonderbedingungen für die Erhöhung der Haftung im Rahmen der Allgemeinen Auftragsbedingungen vom 1. Januar 2002 einverstanden erklärt sowie damit, den
Bericht und alle darin enthaltenen Informationen ebenfalls vertraulich zu behandeln und
nicht weiterzugeben. Ein entsprechendes Schreiben liegt diesem Bericht bei. Eine Kopie
der Vereinbarung mit den jeweiligen Gesellschaften ist der BDO AG Wirtschaftprüfungsgesellschaft, Hamburg, zuzusenden.
Seite 2
AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE
2
AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE
Anhand der vorgelegten Dokumentationsunterlagen und in ergänzenden Gesprächen mit
den zuständigen Mitarbeitern der Gesellschaft wurde, aufbauend auf den Erkenntnissen
unserer Prüfung der Vorgängerversion,
n das erforderliche DV-Umfeld (Hardware und Anwendungssoftware) aufgenommen,
n ein Überblick über den logischen Ablauf innerhalb der DV-Anwendung gewonnen,
n die Abgrenzung zu vor- und nachgelagerten Teilgebieten vorgenommen und
n die untersuchungsrelevanten Teilgebiete, Dateien und Auswertungen festgestellt.
Prüfungsrelevant sind die rechnungslegungsrelevanten Teilgebiete.
Der Einsatz der Anwendung Microsoft Dynamics NAV 2015 beim Anwender, d. h. in einer
konkreten Ablauforganisation, war nicht Prüfungsgegenstand. Aussagen zu organisatorischen Regelungen werden daher im Rahmen dieses Berichts nur dann getroffen, wenn für
bestimmte, nicht vorhandene DV-gestützte Funktionen organisatorische Maßnahmen vom
Anwender erforderlich sind.
Die Prüfung bezog sich gemäß IDW PS 880 „Die Prüfung von Softwareprodukten“ auf folgende Bereiche:
n Softwareentwicklungsverfahren
n Angemessenheit der Programmfunktionen
n Dokumentation
n Funktionsfähigkeit der Programmfunktionen.
Die formellen Voraussetzungen für die Ordnungsmäßigkeit der DV-Anwendung wurden anhand der vorgelegten Dokumentation beurteilt.
Die Prüfung der notwendigen Verarbeitungsfunktionen wurde um die Prüfung spezieller
Verarbeitungsfunktionen ergänzt.
Die Prüfung der notwendigen und programmierten Verarbeitungsregeln bezog sich auf die
von der Gesellschaft durchgeführten Qualitätssicherungsmaßnahmen (Kontrolle der Testergebnisse) und auf ausgewählte Stichproben (Testfälle), die Rückschlüsse auf den ordnungsmäßigen und sicheren Ablauf der DV-Anwendung zulassen. Die Anwendung stellt die
Weiterentwicklung der Anwendung Microsoft Dynamics NAV 2013 dar, die wir mit Bericht
aus Juni 2013 prüften.
Die Erweiterungen/Änderungen der Anwendung im Bereich Rechnungswesen sind u.a.
über das Dokument „What’s new in Microsoft Dynamis NAV 2015“ dokumentiert.
Die identifizierten, relevanten Änderungen betrafen:
n Automatischer Zahlungsverkehr
n Zahlungsverkehrsdaten: Import und Buchung
n Bank Data Conversion Service.
n Elektronische Rechnungseingangsverarbeitung
Seite 3
AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE
n ELSTER Schnittstelle
n Umsatzsteuer: VAT-Reporting/VAT Clauses/ Verify VAT Registration numbers
n GDPdU-Schnittstelle
Änderungen an den aus Ordnungsmäßigkeit und Sicherheit relevanten Kernfunktionen
wurden nicht vorgenommen.
Bei unseren Prüfungstätigkeiten wurden keine weiteren wesentlichen Erweiterungen/Änderungen festgestellt.
Die unverändert gebliebenen rechnungslegungsrelevanten Funktionalitäten sowie die vorgenommenen Änderungen wurden von uns in Stichproben überprüft. Weiterhin wurde die
Softwaresicherheit (Differenzierung von Zugriffsberechtigungen, Datensicherungs- und
Wiederanlaufverfahren, Softwareentwicklungsverfahren) hinsichtlich der Verfahren und
deren Einhaltung / Wirksamkeit von uns in Stichproben geprüft.
Unsere Tests der Software Microsoft Dynamics NAV 2015 wurden auf einem virtuellen
Rechner unter Windows Server 2012 R2 Enterprise durchgeführt. Die Datenhaltung erfolgte in einer MS SQL Server 2014 Datenbank. Zur Prüfung der Software wurde eine Testumgebung (unter Verwendung des in der Software enthaltenen Demo-Mandanten) aufgebaut.
Die einzelnen Prüfungsergebnisse sind im Kapitel 5 dargestellt. Je Prüfungsfeld ist - einführend - das jeweils gesetzte Ziel unter Berücksichtigung der Ordnungsmäßigkeit und Sicherheit formuliert.
Im Kapitel 6 („Zusammenfassendes Ergebnis und Softwarebescheinigung“) werden die
Einzelfeststellungen zusammengefasst.
Seite 4
DV-ANWENDUNG
3
DV-ANWENDUNG
3.1
Hardware/Systemsoftware Microsoft Dynamics NAV 2015
Die Anwendung Microsoft Dynamics NAV 2015 benötigt folgende Systemvoraussetzungen:
n NAV Windows-Client
n Windows 8.1 Professional or Enterprise (32-bit and 64-bit editions).
n Windows 8 Professional or Enterprise (32-bit and 64-bit editions).
n Windows 7 Service Pack 1 Professional, Ultimate, or Enterprise (32-bit and 64-bit
editions).
n Windows Server 2012 R2 Standard or Essentials (64-bit edition).
n Windows Server 2012 Standard or Essentials (64-bit edition).
n Windows Server 2008 R2 Service Pack 1 (64-bit edition).
n PC mit 30 MB Festplatte und 1 GB Hauptspeicher
n Microsoft .NET Framework 4.5.
n NAV Server
n Windows 8.1 Professional or Enterprise (64-bit edition).
n Windows 8 Professional or Enterprise (64-bit edition).
n Windows 7 Service Pack 1 Professional, Ultimate, or Enterprise (64-bit edition).
n Windows Server 2012 R2 Standard or Essentials (64-bit edition).
n Windows Server 2012 Standard or Essentials (64-bit edition).
n Windows Server 2008 R2 Service Pack 1 (64-bit edition).
n PC mit 500 MB Festplatte und 2 GB Hauptspeicher
n Microsoft .NET Framework 4.5.
n SQL-Server
n Microsoft SQL Server 2014 Express, Standard or Enterprise.
n Microsoft SQL Server 2012 Express, Standard, or Enterprise (64-bit editions only).
n Microsoft SQL Server 2008 R2 Express, Workgroup, Standard, Data Center, or Enterprise (64-bit editions only).
Weitere Systemvoraussetzungen sind auf den Internetseiten von Microsoft einsehbar.
3.2
Anwendungssoftware
Die Anwendung Microsoft Dynamics NAV 2015 wird von Microsoft Business Solutions ApS,
Dänemark, entwickelt. Installation und Endkundenbetreuung erfolgen durch spezialisierte
Microsoft Partner.
Seite 5
DV-ANWENDUNG
Die Anwendung Microsoft Dynamics NAV 2015 zeichnet sich durch u. a. folgende Merkmale
aus:
n Real-Time-Verarbeitung (z. B. immer aktuelle Bilanz verfügbar)
n Keine Saldenspeicherung (Neuberechnung der Kontenstände aus Einzelbuchungen)
n Transaktionsprinzip zur Gewährleistung der Datenkonsistenz
n Multi-User-Fähigkeit
n Online-Dokumentation (Hilfe-Funktionen)
n Integrierte Entwicklungsumgebung
n Ein- und Ausblenden von Feldern in Masken
n Verschieben von Feldern in Masken
n Berichtsgenerator
n Zugriffssicherungsmodul
n Protokollierungsfunktionen.
Der mit der Version 2009 eingeführte „Rollenbasierte Client“ ist als ein auf Benutzerrollen abgestimmter Client mit integrierten Berichts- und Analysefunktionen realisiert. Die
Programmfunktionen werden darin bestimmten „Abteilungen“ (Bereichen) zugeordnet.
Prüfungsgegenstand
Prüfungsgegenstand war die im Bereich „Finanzmanagement“ angesiedelte Finanzbuchhaltung (Teilgebiet) mit folgenden Funktionen:
n Sachkonten
n Debitoren
n Kreditoren
n Periodische Aktivitäten (Monats- und Jahresabschluss)
n GDPdU Datenaustausch (Anforderungen nach der Abgabenordnung)
n XBRL Interface (E-Bilanz).
Weitere, aus Ordnungsmäßigkeitsgesichtspunkten notwendige Funktionen für die Finanzbuchhaltung finden sich im Bereich „Verwaltung“ der Anwendung:
n Protokollierung von Datenänderungen an ausgewählten Tabellen
n Benutzerverwaltung (Zugriffsschutz).
Spezielle Funktionen (Object Designer) finden sich im externen Tool „Microsoft Dynamics
NAV 2015 Development Environment“.
Nicht mittelbar oder unmittelbar für den Jahresabschluss relevante Funktionen wurden
von uns nicht geprüft.
Zum Überblick über den Funktionsumfang der Software verweisen wir auf die Dokumentation der Anwendung.
Seite 6
PRÜFUNGSKRITERIEN
4
PRÜFUNGSKRITERIEN
Ziel der Softwareprüfung ist es, mit hinreichender Sicherheit zu beurteilen, ob das Softwareprodukt bei sachgerechter Anwendung ermöglicht, den Kriterien zu entsprechen, die
als Maßstab für die Beurteilung der funktionalen Anforderungen heranzuziehen sind.
Zur Beurteilung der Ordnungsmäßigkeit und Sicherheit rechnungslegungsbezogener Programmfunktionen wurden folgende Kriterien (Standards) herangezogen:
n IDW-Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (IDW
PS 880, Stand 11.März 2010)
n IDW-Prüfungsstandard: Abschlussprüfung bei Einsatz der Informationstechnologie (IDW
PS 330, Stand 24. September 2002).
n IDW-Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung
bei Einsatz von Informationstechnologie (IDW RS FAIT 1, Stand 24. September 2002)
n IDW-Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung
bei Einsatz von Electronic Commerce (IDW RS FAIT 2, Stand 29. September 2003)
n Gesetzliche Vorschriften des Handels- und Steuerrechts (§§ 238 ff. HGB, §§ 140 ff. AO)
n Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD), BMFSchreiben vom 14. November 2014.
Spezielle regulatorische, aufsichtsrechtliche oder aufgabenbezogene Anforderungen an
die Gestaltung rechnungslegungsrelevanter Verarbeitungsfunktionen wurden nicht berücksichtigt.
Die Anforderungen der Grundsätze ordnungsmäßiger Buchführung haben hierbei direkten
Einfluss auf die Gestaltung von Softwareprodukten, indem
n die allgemeinen Grundsätze gemäß §§ 238 und 239 HGB
n die funktionalen Grundlagen eines Buchführungsverfahrens (Beleg-, Journal-, Kontenfunktion) sowie
n die Anforderungen zur Dokumentation und Archivierung
von dem Softwarehersteller umzusetzen sind.
Seite 7
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
5
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
5.1
Softwareentwicklungsverfahren
Anforderungen
Die Qualität der Softwareentwicklung ist wesentlich für die Beherrschung von Risiken und
für eine sachgerechte Umsetzung der Programmfunktionen. Standardisierte und normierte Entwicklungsprozesse, die Toolunterstützung von Routineaufgaben in der Entwicklung
und vollständige und aktuelle Verfahrens- und Testdokumentationen wirken fehlermindernd. Demgegenüber können unzureichende Softwareentwicklungsverfahren und der
Umgang mit veralteten oder nicht ausgereiften Technologien eine fehlererhöhende Auswirkung haben.
Die Softwareentwicklungsverfahren müssen insbesondere folgende Risiken beherrschen:
Phase
Fachliche Spezifikation des Softwareherstellers
Technische Spezifikation des Softwareherstellers
Realisierung
Test
Qualitätssicherung
Risiken
· unzureichende Berücksichtigung regulatorischer Anforderungen
·
fehlerhafte Funktionsbeschreibungen
·
mangelnde Geschäftsprozessanalyse
·
nicht ausreichende Detaillierung
·
veraltete oder ungeeignete Technologien
·
unzureichende Berücksichtigung von Schnittstellen
·
unzureichende Anwendung von Programmiernormen und -standards
·
unzureichende Anwender- und Systemdokumentation
·
unzureichende Testkonzepte
·
ungeeignete Testverfahren und -tools
·
fehlende Dokumentation der Testergebnisse
·
fehlende Freigabeverfahren
·
unzureichende Fehlerbearbeitung
·
mangelhaftes Laufzeitverhalten und mangelnde Verwendbarkeit
Vorgehensweise
In Gesprächen mit den zuständigen Mitarbeiter/innen sowie durch Einsichtnahme in die
Dokumentation wurden die DV-technischen Werkzeuge und organisatorischen Maßnahmen
aufgenommen und beurteilt. In Stichproben haben wir die Dokumentation der Testergebnisse eingesehen.
Seite 8
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Feststellungen
Die Anwendung ist in der selbst entwickelten Sprache C/AL geschrieben. Grundlage von
C/AL ist die Programmiersprache C++. Die Datenhaltung erfolgt mit Microsoft SQL Server.
Der deutschen Version liegt die (weltweite) englische Version W1 zugrunde. Die Programmentwicklung und -freigabe und die Dokumentationserstellung obliegen der Firma
Microsoft Development Center Kopenhagen Aps. Für die funktionalen Anpassungen an die
Erfordernisse der lokalen Märkte ist ein Microsoft-Team, das aus Spezialisten für die einzelnen Länder besteht, verantwortlich.
Im Rahmen unserer Prüfung zur Vorgängerversion nahmen wir Einsicht in die Softwareentwicklungs- und Qualitätssicherungsverfahren.
Der Entwicklungsprozess richtet sich nach dem Vorgehensmodell der „agilen Softwareentwicklung“. Integraler Bestandteil der einzelnen Sprints (zwei Wochen Sprints) sind
auch die Tests der Anwendung. Im Rahmen des Prozesses werden folgenden Automatisierungen bzw. Prüfungen enthalten, die die Qualität der Anwendung sichern:
n während der Entwicklung
p
Gated check-ins, die u.a. beinhalten:
– Funktionstests
– Stresstests
– Performance tests
– Code reviews
p
Automatisierte builds
p
Automatisierte Test der builds
p
Laufende Überwachung der Testdurchführung: Abarbeitungs-Tests (inkl.
Stresstest, Performancetests)
n für fertig gestellte Ergebnisse
p
Automatisierte Tests des Codes
p
Automatisierte Test der builds
p
Integrationstests oder Regressionstests (End-2-end tests)
p
Vollständigkeit der Dokumentation
n Für Releases
p
Prüfung Compliance mit Microsoft Policies
p
Prüfung, ob alle Schritte/Kriterien erfüllt sind.
Speziell für die deutsche Version werden 21424 automatisierte Anwendungsregressionstests durchgeführt, die eine Testabdeckung von 63% erreichen. Die automatisierten Tests
werden täglich durchgeführt und wöchentlich ausgewertet. Neben funktionalen Tests
werden auch sog. „Non-Funtional Test” durchgeführt, die die folgenden Bereiche
abdecken:
n Test der Übersetzungen
n Performance Tests
Seite 9
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
n Stress Tests
n Upgrade Tests
n Configurations Tests
n Integrationstests oder Regressionstests
n Test aller untersützten Betriebssystgem (mit Landeseinstellung German)
n Sicherheitstests
n License Tests
Für neue Funktionen wird der Ansatz des ”Test Driven Development” vefolgt, der die
Formulierung der Tests vor der Erstellung des Quellcode benihaltet. Weiterhin erfolgt eine sog. ”Customer Validation” über das Technology Adoption Program (TAP) um ein frühes
Feedback von den Kunden zu erhalten.
Zur Unterstützung der Tests wird der Team Foundation Server (TFS) als zentrales
Speichermeduim genutzt. Über TFS werden
n die History aller Tests vorgehalten,
n fehlerhafte Ergebnise aller Tests dokumentiert,
n die Ergebnisse der code Prüfungen je build festgehalten.
Manuelle Testergebnisse werden im Microsoft Test Manager dokumentiert.
Die Anwendung Source Depot ist die zentrale Anwendung, in der die Testprogramme
(Code) gespeichert werden.
Unsere Einsicht in die automatisierten Testergebnisse zeigte deren Existenz. Weiterhin
zeigte die Einsicht, dass keine Fehler in den Testergebnissen ausgewiesen sind, die Auswirkungen auf die Ordnungsmäßigkeit und Sicherheit der Anwendung haben.
Insgesamt stehen die Koordination der Prozesse entsprechende Verfahren zur Verfügung,
die, die eine koordinierte Weiterentwicklung der Anwendung ermöglichen.
5.2
Angemessenheit der Programmfunktionen
5.2.1
Notwendige und spezielle Verarbeitungsfunktionen
Anforderungen
Die Einhaltung der Grundsätze ordnungsmäßiger Buchführung (GoB) ist durch die Anwendung angemessen zu unterstützen. Dies sind insbesondere die Beleg-, Journal- und Kontenfunktion sowie die Protokollierungsfunktionen und die Funktionen, die zur Erfüllung
der Anforderungen aus den Änderungen der Abgabenordnung vorhanden sind.
5.2.1.1
Belegfunktion
Anforderungen
Die nach § 238 Abs. 1 HGB geforderte Nachvollziehbarkeit der Buchführung vom Urbeleg
bis zum Abschluss muss erfüllt sein. Jede Buchung ist vollständig durch einen Beleg nachzuweisen.
Seite 10
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Vorgehensweise
Durch Tests in der Anwendung sowie Einsichtnahme in die zugehörigen Dokumentationen
wurde geprüft, ob die Belegfunktion gegeben ist.
Feststellungen
Die geforderte Nachvollziehbarkeit wird von der Anwendung Microsoft Dynamics NAV 2015
erfüllt, indem:
n die programmierten Vorschriften zur Generierung der Buchhaltungsdaten in der Online-Dokumentation beschrieben sind (insbesondere in der Dokumentation zu Buchungsprozessen).
n der Nachweis der tatsächlichen Durchführung der einzelnen Buchungen erbracht wird.
Buchungen können über entsprechende Auswertungen nachgewiesen werden.
n das Radierverbot eingehalten wird. Einmal im System erfasste und gebuchte Daten
können auf konventionellem Weg nicht mehr radiert/entfernt werden. Eine Stornobuchung ist eine neue Buchung, die als Stornobuchung erkennbar ist.
Direkte Änderungen der Daten auf „Datenbankebene“ sind über Berechtigungen zu unterbinden.
Die Nachvollziehbarkeit der gespeicherten Belege ist für die Buchhaltung dadurch gegeben, dass
n eine hinreichende Erläuterung des Vorgangs durch automatisch erzeugte Buchungstexte erfolgt bzw. bei so genannten manuellen Buchungen durch Eingabe des Buchungstextes erfolgen kann,
n ein Buchungsbetrag einzugeben ist,
n der Zeitpunkt des Geschäftsvorfalls (Buchungsdatum) dokumentiert ist und
n Stornobuchungen mit einem Storno-Kennzeichen versehen sind.
Das Ordnungsprinzip der Microsoft Dynamics NAV 2015 Buchhaltung ist vollständig, richtig,
zeitgerecht und verarbeitungsfähig, da folgende Angaben je Geschäftsvorfall vorhanden
sind:
n Text zur Erläuterung und ggf. Begründung des Geschäftsvorfalls
n zu buchender Betrag (Landes- und Fremdwährung)
n Zeitpunkt des Geschäftsvorfalls (Belegdatum)
n Kontierung (Konto-Nr.)
n Belegnummer
n Buchungsdatum
n Währung.
Die Autorisation des Buchenden erfolgt über die Berechtigungsvergabe. Die Person des
Buchenden kann über die Journalfunktion jederzeit ermittelt werden.
Microsoft Dynamics NAV bietet die Möglichkeit Daten über Schnittstellen/die CopyPaste
Funktion Buchungen in Buchungsblätter zu übernehmen und dort zu ändern. Durch Erfassungs-, Übertragungs- und Verarbeitungskontrollen hat der Anwender gemäß der GoBD si-
Seite 11
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
cherzustellen, dass alle Geschäftsvorfälle vollständig erfasst oder übermittelt werden und
danach nicht unbefugt (d. h. nicht ohne Zugriffsschutzverfahren) und nicht ohne Nachweis des vorausgegangenen Zustandes verändert werden können. Die Durchführung der
Kontrollen ist zu protokollieren.
Insgesamt zeigten unsere Prüfungen, dass die Belegfunktion in der Anwendung Microsoft
Dynamics NAV 2015 erfüllt ist. Der Anwender hat die für die Belegfunktion erforderlichen
Angaben ordnungsgemäß einzugeben.
5.2.1.2
Journalfunktion
Anforderungen
Die Journalfunktion verlangt, dass alle buchungspflichtigen Geschäftsvorfälle zeitnah
nach ihrer Entstehung vollständig und verständlich in zeitlicher Reihenfolge aufgezeichnet werden und in dieser Reihenfolge ausgegeben werden können (Journal). Während mit
der Erfüllung der Belegfunktion die Existenz und Verarbeitungsberechtigungen eines Geschäftsvorfalls nachgewiesen werden muss, hat die Journalfunktion den Nachweis der tatsächlichen und zeitgerechten Verarbeitung der Geschäftsvorfälle zum Gegenstand.
Vorgehensweise
Durch Tests in der Anwendung wurden die Anforderungen hinsichtlich der Journalfunktion
geprüft.
Feststellungen
Die Anwendung ermöglicht den Ausdruck der Journale („Posten“). Buchungen sind in der
Anwendung nicht mehr änderbar.
Die Journalfunktion ist gegeben, da in der Anwendung sichergestellt ist, dass der Zeitpunkt der Buchung (Buchungsdatum) über einen entsprechenden Datumseintrag und die
fortlaufende, lückenlose Reihenfolge der Journalnummern nachvollzogen werden kann.
Die Ausgabe in der Reihenfolge der Journalnummern ist möglich.
Zur Erfüllung der Journalfunktion und zur Ermöglichung der Kontenfunktion gemäß den
Anforderungen aus den GoBD „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff„ sind bei der Buchung insbesondere auch die UmsatzsteuerIdentifikationsnummer bzw. Steuernummer mit der Buchung zu erfassen.
Die Umsatzsteuer-Identifikationsnummer ist in der Anwendung in den Debitoren bzw.
Kreditoren hinterlegt. Wenn ein Beleg oder eine Buchungsblattzeile erstellt wird, dann
wird die Umsatzsteuer-Identifikationsnummer - wie andere Stammdaten auch - in den Beleg bzw. in die Buchungsblattzeile übernommen und bei der Buchung dann später in die
Posten übertragen und auf Belegen wie der Verkaufsrechnung entsprechend ausgegeben.
In der Finanzbuchhaltung-Einrichtung gibt es das Feld „Rech. an/Verk. an MwSt.-Berech.“
(Feld 103 in Tabelle 98). Abhängig von dieser Einstellung wird bei einem abweichenden
Rechnungsempfänger entweder die Umsatzsteuer-Identifikationsnummer des „Verk. an
Deb.-Nr.“ oder des „Rechng. an Deb.-Nr.“ vorgeschlagen.
Seite 12
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Im Standard ist die Umsatzsteuer-Identifikationsnummer in den Belegen bzw. in den Buchungsblattzeilen derzeit nicht eingeblendet. Mit der „Zoom-Funktion“ ist es allerdings
auch im Standard möglich die Umsatzsteuer-Identifikationsnummer vor der Buchung zu
überprüfen.
Das Feld muss durch Verwendung des Objektdesigners in den Belegkopf bzw. in die Buchungsblattzeile eingeblendet werden (entsprechende Lizenz bzw. Zugriffsrechte sind
hierzu erforderlich, ggf. ist der Microsoft Partner einzuschalten).
Hierdurch kann der vorgeschlagene Wert vor einer Buchung im Beleg bzw. in der Buchungsblattzeile verändert werden, falls das erforderlich ist. Bei der Buchung wird dann
die geänderte Umsatzsteuer-Identifikationsnummer in die Posten übertragen.
Insgesamt zeigten unsere Prüfungen, dass die Journalfunktion in der Anwendung erfüllt
ist. Die gem. der GoBD erforderlichen Angaben können mit der Anwendung erfasst und
gespeichert werden. Die erforderlichen Einstellungen für die Erfassung der UmsatzsteuerIdentifikationsnummer sind vorzunehmen.
5.2.1.3
Kontenfunktion
Anforderungen
Die Kontenfunktion verlangt, dass die im Journal in zeitlicher Reihenfolge aufgezeichneten Geschäftsvorfälle auch in sachlicher Ordnung auf Konten abgebildet werden. Bei
computergestützten Buchführungsverfahren werden Journal- und Kontenfunktion in der
Regel gemeinsam wahrgenommen, indem bereits bei der erstmaligen Erfassung des Geschäftsvorfalls alle für die sachliche Zuordnung notwendigen Angaben erfasst werden.
Diese Funktionen werden bei integrierter Software, z. B. durch maschinelle Kontenfindungsverfahren, unterstützt.
Vorgehensweise
Durch Tests der Anwendung und Einsichtnahme in die zugehörigen Dokumentationsbestandteile wurden die Anforderungen hinsichtlich der Kontenfunktion geprüft.
Feststellungen
Die geforderte Kontenfunktion wird von der Anwendung Microsoft Dynamics NAV 2015 erfüllt, da:
n in der Auswertung „Kontoblatt“ die in zeitlicher Reihenfolge aufgezeichneten Geschäftsvorfälle in sachlicher Ordnung auf Konten abgebildet werden und
n die Geschäftsvorfälle getrennt nach Sachkonten oder Personenkonten mit folgenden
Angaben dargestellt werden:
Seite 13
p
Kontenbezeichnung
p
Kennzeichnung der Buchungen nach Soll und Haben
p
Buchungsbetrag
p
Summen und Salden nach Soll und Haben
p
Buchungsdatum
p
Gegenkonto
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
p
Belegverweis (Belegnummer)
p
Buchungstext.
Die Organisation der Anwendung erlaubt über entsprechende Referenzierungen (Belegnummer etc.) den Nachvollzug der Dateneingaben (Belege) bis hin zur endgültigen Darstellung in der Bilanz/GuV und umgekehrt (Prüfspur). Das Belegdatum kann dem Buchungsjournal entnommen werden.
Insgesamt zeigten unsere Prüfungen, dass die Kontenfunktion in der Anwendung erfüllt
ist.
5.2.1.4
Protokollierungsfunktionen
Anforderungen
Bei progammgenerierten bzw. programmgesteuerten Buchungen (automatisierte Belege
bzw. Dauerbelege) sind Änderungen an den der Buchung zu Grunde liegenden Generierungs- und Steuerungsdaten aufzuzeichnen. Dies betrifft insbesondere die Protokollierung
von Änderungen in rechnungslegungsrelevanten Einstellungen, die Parametrisierung der
Software und die Aufzeichnung von Änderungen an Stammdaten.
Vorgehensweise
Durch Einsichtnahme in die Dokumentation und Test der Anwendung wurden die vorhandenen Protokollierungsverfahren erhoben und in Stichproben hinsichtlich Wirksamkeit getestet.
Die in der Anwendung vorhandenen Protokollierungsfunktionen wurden identifiziert und
hinsichtlich ihrer Angemessenheit beurteilt. Die Wirksamkeit (Funktionsfähigkeit) wurde
in Stichproben geprüft.
Feststellungen
Microsoft Dynamics NAV 2015 besitzt ein umfangreiches, zu konfigurierendes Änderungsprotokoll. Alle direkt von einem Anwender vorgenommenen Änderungen der Daten können in der Anwendung protokolliert werden.
Wenn die Änderungsprotokollierung eingeschaltet ist, kann für jede einzelne Tabelle der
Datenbank festgelegt werden, ob Änderungen (Einfügen, Ändern und/oder Löschen) protokolliert werden sollen.
Vor dem Hintergrund der GoBD sind Änderungen an Bewegungs-, Stamm und Einstellungsdaten zu protokollieren. Die Tabellenprotokollierung ist für die rechnungslegungsrelevanten Tabellen sachgerecht einzustellen und aktiv zu setzen.
Die Funktion der Belegarchivierung bzw./und die Protokollierungsfunktion sind für Einkaufsbelege zwingend zu nutzen
Das Änderungsprotokoll kann ausgewertet werden. Es zeigt eine chronologische Übersicht
aller Änderungen mit altem und neuem Wert sowie der zugehörigen Benutzer-ID.
Der Anwender muss Microsoft Dynamics NAV 2015 vor dem Hintergrund der umfassenden
Änderungsfunktionen so konfigurieren, dass die aus den Aufbewahrungsvorschriften, den
Seite 14
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Ordnungsmäßigkeits- und Sicherheitsanforderungen relevanten Tabellen protokolliert
werden.
Mit entsprechenden Benutzerrechten können Einträge aus dem Änderungsprotokoll gelöscht werden. Die Berechtigung zum Löschen von Protokolleinträgen darf nicht vergeben
werden.
Unsere Stichproben zeigten die ausreichende Wirksamkeit der implementierten Protokollierung.
5.2.1.5
Zugriffsschutz
Anforderungen
Über die Software sind die Einhaltung der Funktionstrennung sowie der Schutz der Daten
und Programme vor unberechtigten Zugriffen angemessen zu sichern. Die Anwendungssoftware - ggf. im Zusammenspiel mit dem Betriebssystem bzw. einem übergeordneten
Sicherheitssystem – hat durch Benutzerkennungen (User-IDs) und Passworte (sowie die
Zuordnung von Berechtigungen zu diesen) individuelle Benutzerprofile zu verwalten. Die
Einrichtung muss so möglich sein, dass es nur befugten Personen ermöglicht wird, auf bestimmte Funktionen und/oder Datenfelder zuzugreifen.
Vorgehensweise
Das Zugriffssicherungssystem wurde hinsichtlich folgender Fragestellungen geprüft:
n Welche Funktionen hat das auf der Anwendungsebene vorhandene Zugriffsschutzsystem und sind diese ausreichend?
n Werden Zugriffe vom System mit der Benutzerkennung protokolliert?
n Ist die Geheimhaltung von Passworten gewährleistet (keine Anzeige am Bildschirm;
kein unberechtigtes Lesen von Passwortdateien)?
n Werden periodische Änderungen vom System verlangt?
n Wie reagiert das System auf Zugriffsverletzungen (z. B. Abweisung mehrerer Zugriffsversuche, Time-out)?
Feststellungen
In der Anwendung Microsoft Dynamics NAV 2015 ist ein Zugriffsschutzsystem integriert.
Den Benutzern können über Zugriffsrechtsätze Rechte an Objekten (Tabellendaten, Tabelle, Bericht, Codeunit, XMLport, MenuSuite, Seite, Abfrage, System) erteilt werden. Die
Rechte lassen sich hierbei auf die Berechtigungen Lesen, Einfügen, Bearbeiten, Löschen
und Ausführen begrenzen. Eine angemessene Funktionstrennung kann hierüber gewährleistet werden.
Zusätzlich besteht die Möglichkeit, bei den Zugriffsrechten für die Objektart „Tabellendaten“ genannte Sicherheitsfilter zu hinterlegen. Damit kann ein Zugriffsrecht auf Datensatzebene realisiert werden. Die betroffenen Benutzer haben in der Folge die definierten
Rechte nur für bestimmte Datensätze (z. B. bestimmte Debitoren oder Buchungen einer
bestimmten Periode). Der Versuch, diese Rechte zu überschreiten, wird dann vom System
mit einer Fehlermeldung abgewiesen.
Seite 15
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Zu beachten ist hierbei, dass Zugriffsrechtsätze auf Datenbankebene (nicht für einzelne
Mandanten/Firmen) definiert werden. Die Zuordnung der Zugriffsrechtsätze zu den Benutzern kann jedoch auf einen einzelnen Mandanten beschränkt werden (oder für alle
Mandanten der Datenbank gültig sein).
Zusätzlich gibt es die Möglichkeit, Benutzer- und Mandanten-spezifisch die Zugriffsrechte
z.B. durch folgende Einstellungen einzuschränken:
n Buchungen zugel. ab
Beginn der erlaubten Buchungstätigkeit
n Buchungen zugel. bis
Ende der erlaubten Buchungstätigkeit
In Stichproben wurde die Funktionsfähigkeit des Zugriffsschutzsystems geprüft. Der Zugriffsschutz wird nach Anlegen eines Benutzers mit dem Zugriffsrechtesatz „SUPER“ aktiviert. Eine Mindestlänge für ein Passwort ist in der Anwendung nicht einstellbar und muss
daher über Nutzung und entsprechende Konfiguration des Active Directory erzwungen
werden.
Die Anwendung unterstützt keine Überwachung von fehlerhaften Anmeldeversuchen, dies
ist über das Active Directory zu realisieren.
Das Zugriffssicherungsmodul ermöglicht grundsätzlich die Einrichtung eines ausreichenden, anwendungsbezogenen Zugriffsschutzes und ist damit ordnungsgemäß. Hierzu ist es
erforderlich, dass bei Installation der Anwendung eine detaillierte Liste aller Benutzer
mit Zuordnung zu Berechtigungsgruppen festgelegt wird und die Gruppen über entsprechende Rechte ausgeprägt werden.
Die Berechtigungsänderungen lassen sich über die Protokollierungsfunktionen, die ordnungsgemäß vom Anwender einzustellen sind, nachvollziehen.
Jeder Benutzer ist bei Einstellung der entsprechenden Berechtigung in der Lage, sein eigenes Passwort zu verändern.
Die Anwendung kann mit mehreren Mandanten und Datenbanken arbeiten, so dass grundsätzlich eine Trennung zwischen Test- und Produktionssystem möglich ist. Das Testsystem
muss dazu in einer eigenen Datenbank untergebracht sein, da ansonsten neue Module
unmittelbar Einfluss auf das Produktivsystem haben.
Einige der genannten Sicherheitsanforderungen lassen sich durch Verwendung von Windows Anmeldungen mit der herkömmlichen Windows-Authentifizierung realisieren. Dabei
werden die Zugangsinformationen von Windows übernommen und der Zugang wird ohne
erneute Verifizierung des Passwortes erlaubt. Dadurch stehen die Sicherheitsoptionen,
die das Betriebssystem bietet, für den Zugangsschutz der Finanzbuchhaltung zur Verfügung. Dies betrifft insbesondere folgende Funktionen bzw. Festlegungen:
n Ablauf von Passworten
n Begrenzung der fehlerhaften Zugangsversuche
n Protokollierung
n Mindestlänge Passwort.
Der Anwender hat das Zugriffsschutzmodul und die Windows Authentifizierung ordnungsgemäß nach seinen Anforderungen aus dem Internen Kontrollsystem einzustellen.
Seite 16
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Es sind den Anwendern Vorgaben hinsichtlich der zu verwendenden minimalen Passwortlängen für den sicheren Betrieb vorzugeben. Das Passwort wird verschlüsselt (nicht im
Klartext sichtbar) eingegeben bzw. übergeben.
Die Funktionen des Verfahrens sind angemessen in der Online-Dokumentation beschrieben. Unsere Stichproben zeigten die Wirksamkeit des Zugriffsschutzsystems in der Anwendung.
Der Anwender hat sicherzustellen, dass keine Werkzeuge mit schreibender Wirkung auf
die Produktionsdatenbank genutzt werden können.
5.2.1.6
Datensicherungs- und Wiederanlaufverfahren
Anforderungen
Die Anwendung muss über geeignete Datensicherungs- und Wiederanlaufverfahren die
Möglichkeit bieten, Daten und Programme periodisch zu sichern. Neben den von der
Software vorgesehenen Maßnahmen (z. B. Datenspiegelung, Wiederanlaufpunkte) können
ggf. auch die im technischen und organisatorischen Umfeld verfügbaren Datensicherungsund Wiederanlaufverfahren verwendet werden.
Vorgehensweise
Die vorhandenen Datensicherungsverfahren wurden erhoben.
Feststellungen
Datensicherungsverfahren sind nicht Bestandteil der Anwendung Microsoft Dynamics NAV
2015.
Der Anwender hat über andere Tools für eine ausreichende Datensicherung Sorge zu tragen und die Verwendbarkeit der Sicherungen zu testen.
5.2.1.7
Anforderungen nach der Abgabenordnung
Anforderung
Seit dem 1. Januar 2002 müssen weitere Datenzugriffs- und Datenauswertungsmöglichkeiten der Finanzverwaltung im Rahmen von Außenprüfungen geschaffen und zur Verfügung
gestellt werden.
Die Anwendung sollte hierzu folgende Voraussetzungen erfüllen:
n detailliertes Zugriffberechtigungsverfahren, das die Möglichkeit des lesenden und auswertenden Zugriffs auf die Daten gibt
n Schnittstellen für den Datenexport aller Daten (Stamm- und Bewegungsdaten) zur Weitergabe in gängigen Formaten
n die Möglichkeit der Online-Speicherung von Daten über einen Zeitraum von mind. 10
Jahren
n Erfüllung des Beschreibungsstandards für die Datenträgerüberlassung (BMF vom 14.
November 2014 „Ergänzende Informationen zur Datenträgerüberlassung“ zu GoBD).
Seite 17
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Feststellungen
Die Anwendung Microsoft Dynamics NAV 2015 erfüllt die oben genannten Anforderungen,
da
n über entsprechende Zugriffsschutzmechanismen rein lesende Berechtigungen vergeben werden können,
n die Daten grundsätzlich unbegrenzt in der Anwendung vorgehalten werden können,
n die Anwendung umfangreiche Selektionsfunktionen mit vielfältigen Exportmöglichkeiten zum Export der rechnungslegungsrelevanten Daten und umfangreiche Schnittstellen für den Datenexport (ASCII-Format, ODBC-Zugriff) aller Daten (Stamm- und Bewegungsdaten) zur Weitergabe in gängigen Formaten enthält und
n den Beschreibungsstandards für die Datenträgerüberlassung erfüllt. Microsoft Dynamics NAV 2015 stellt in dem gemäß BMF empfohlenen XML-Standard die Daten für IDEA
bereit. Die Schnittstelle zur Erfüllung des vom BMF empfohlenen Beschreibungsstandards wurde von uns in Stichproben geprüft. Die Prüfung zeigte keine Beanstandungen.
Durch die realisierten Funktionalitäten steht dem Steuerpflichtigen im Rahmen der Mitwirkungspflicht bei der Steuerveranlagung/Außenprüfung ein geeignetes Instrumentarium
zur Verfügung.
5.2.1.8
E-Bilanz
Jahresabschlüsse müssen elektronisch an die Finanzverwaltung übermittelt werden
(Stichwort "E-Bilanz"). Hiervon sind alle bilanzierenden Unternehmen - unabhängig von
Rechtsform und Größe - betroffen.
Die Microsoft Dynamics NAV 2015 stellt unter dem Namen „XBRL Interface“ eine Funktion
zur Verfügung, die die Kontensalden auf Basis der vom Gesetzgeber vorgegebenen Taxonomien im XBRL-Format speichern kann. Hierzu müssen die Kontensalden der vom Gesetzgeber vorgegebenen E-Bilanz-Struktur (Taxonomie) zugeordnet werden. Microsoft Dynamics NAV 2015 beinhaltet keine Funktion für die erforderliche Bearbeitung und Übertragung der Daten an die Finanzverwaltung. Die XBRL-Datei dient als Schnittstelle für andere Programme, die die Bearbeitung und Übertragung an die Finanzverwaltung übernehmen.
Im Rahmen unserer Arbeiten haben wir in einer Stichprobe überprüft, ob die Daten aus
der Anwendung Microsoft Dynamics NAV 2015 vollständig und richtig erstellt und im XBRLFormat gespeichert wurden. Die Prüfungen führten zu keinen Beanstandungen.
5.3
Funktionsfähigkeit der Programmfunktionen
5.3.1
Eingabekontrollen
Anforderungen
Damit nur einwandfreie Daten in die weitere Verarbeitung eingehen, sind angemessene
Fehlerprüfungen bei der Dateneingabe vorzusehen.
Seite 18
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Vorgehensweise
Anhand der vorgelegten Dokumentationsbestandteile sowie der während der Prüfung gewonnenen Erkenntnisse über wesentliche Verarbeitungsschritte wurden die untersuchungsrelevanten Eingabefelder ermittelt. Die Beurteilung der programmierten Kontrollen erfolgte anhand der Dokumentation der Anwendung und von Tests. Die Eingabetests
wurden in Stichproben durchgeführt (Testsystem).
Die Testdaten zur Prüfung der Angemessenheit der programmierten Eingabekontrollen
wurden nach folgenden Kriterien erstellt:
Einzelfeldprüfungen
Vollständigkeitsprüfungen
n Kontrolle auf zwingende Eingabe der erforderlichen Datenfelder („Muss-Felder“).
Formatprüfungen
n Kontrolle, ob nur Daten mit zulässigem Format (alphabetisch, numerisch oder alphanumerisch) eingegeben werden können.
Grenzwertprüfungen
n Kontrolle, ob die Daten nur innerhalb bestimmter Mindest- und Höchstwerte eingegeben werden können.
Zulässigkeitsprüfungen
n Kontrolle, ob eine Prüfung der einzelnen Felder auf zulässige Eingaben erfolgt.
Kombinationsprüfungen
n Feststellung, ob die Dateneingaben auf Verträglichkeit untereinander bzw. zu bereits
erfassten oder gespeicherten Stamm-, Bewegungs- oder Tabellendaten kontrolliert
werden.
Unsere Stichproben zur Prüfung der Eingabekontrollen betrafen u. a. folgende Bereiche:
n Kunden
n Lieferanten
n Sachkonten
n Buchungserfassungen
n Periodische Arbeiten
Feststellungen
Die durchgeführten Tests zeigten umfangreiche programmierte Kontrollen, die ein hohes
Maß an Sicherheit bieten, dass nur konsistente Daten für die nachfolgende Verarbeitung
freigegeben bzw. weiterverarbeitet werden.
5.3.2
Verarbeitung
Anforderungen
Seite 19
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Ziel der Prüfung ist es, eine Aussage über die ordnungsmäßige Verarbeitung der Daten,
insbesondere der logischen Verknüpfungen, im Hinblick auf die Richtigkeit der Ergebnisse
zu treffen. Es ist deshalb zu prüfen, ob die eingegebenen Daten richtig bearbeitet und
zugeordnet ausgegeben werden.
Vorgehensweise
Die Prüfung erfolgte weiterhin anhand fehlerfreier Eingaben mit anschließender Verarbeitung im Testsystem. Die Stammdaten basieren auf dem vom Hersteller mitgelieferten
Mustermandanten.
Die vom Softwarehersteller gelieferte Testdokumentation wurde hinsichtlich der Abdeckung der Verarbeitungsfunktionen der Testphase und in Stichproben hinsichtlich der
Testdurchführung geprüft.
Um die Verarbeitungsregeln zu prüfen, wurden Geschäftsvorfälle aus verschiedenen Gebieten der Finanzbuchhaltung überprüft. Diese Überprüfung erfolgte anhand von Testfällen (Stichproben), die der ordnungsgemäßen Wirksamkeit der Verarbeitung in den Bereichen Dateneingaben, Buchungen, Protokollierung und Zugriffsschutz dienen.
Feststellungen
Unsere Prüfungen führten zu keinen Beanstandungen. Unsere Stichproben zeigten die
ordnungsgemäße Verarbeitung der Daten.
5.4
Dokumentation
Anforderung
Die GoB verlangen das Vorhandensein von Arbeitsanweisungen und sonstigen Organisationsunterlagen, soweit sie erforderlich sind, um einem sachverständigen Dritten innerhalb
angemessener Zeit ein Verständnis der Buchhaltung zu verschaffen.
Die Anforderung an den Umfang und Detaillierungsgrad der Dokumentation ist davon abhängig, inwieweit die ausgedruckte bzw. ausdruckbereite Buchführung aus sich heraus
verständlich ist.
Die Dokumentation soll so gestaltet sein, dass sie:
n den innerbetrieblichen Anforderungen im Hinblick auf Aufbau, Ablauf und wirtschaftliche Pflege des Verfahrens genügt und Unabhängigkeit von Detailkenntnissen bestimmter Personen gewährleistet und
n einen sachverständigen Dritten in die Lage versetzt, die DV-technische Abwicklung anhand der Verfahrensdokumentation in angemessener Zeit zu prüfen.
Vorgehensweise
In Gesprächen mit den Mitarbeitern der Gesellschaft wurde ein Überblick über die Dokumentationen gewonnen. Die vorhandenen Standarddokumentationen wurden, soweit sie
das Rechnungswesen betreffen, hinsichtlich Vollständigkeit, Aussagefähigkeit und Aktualität überprüft. Dabei wurden auch die in der Anwendung hinterlegten Hilfetexte berücksichtigt.
Seite 20
DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE
Die vorgelegten Unterlagen wurden hinsichtlich der Anforderungen gemäß dem IDWPrüfungsstandard beurteilt.
Feststellungen
Mit der Anwendung Microsoft Dynamics NAV 2015 steht die Dokumentation ausschließlich
elektronisch als Online-Hilfe zur Verfügung.
Ergänzende Dokumentationen sind über das Internet abrufbar.
Die Dokumentationsbestandteile wurden um die vorgenommenen Änderungen der Anwendung ergänzt.
Die Dokumentationen erfüllen insgesamt die aus der IDW-Stellungnahme und den IDWPrüfungsstandards abzuleitenden Anforderungen.
Seite 21
ZUSAMMENFASSENDES ERGEBNIS UND
SOFTWAREBESCHEINIGUNG
6
ZUSAMMENFASSENDES ERGEBNIS UND
SOFTWAREBESCHEINIGUNG
Im Auftrag der Microsoft Ireland Research, Dublin haben wir die Anwendungssoftware
Microsoft Dynamics NAV 2015
Teilgebiet Finanzbuchhaltung
geprüft.
Gegenstand unserer Prüfung war die Beurteilung des Softwareprodukts mit den für die Finanzbuchhaltung implementierten Funktionen im Hinblick auf die Einhaltung der Anforderungen der Grundsätze ordnungsgemäßer Buchführung (GoB) einschließlich der Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und
Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD), wie sie sich aus den
handels- und steuerrechtlichen Vorschriften ableiten. Bei der Prüfung standen die Erfordernisse hinsichtlich Vollständigkeit, Richtigkeit, Zeitgerechtheit, Zuordnung, Prüfbarkeit
und Unveränderlichkeit im Vordergrund.
Die gesetzlichen Vertreter der Gesellschaft sind für das Softwareprodukt sowie die Planung, Durchführung und Überwachung der Softwareentwicklung verantwortlich. Diese
Verantwortung wird von unserer Prüfung nicht berührt. Unsere Aufgabe ist es, auf Grundlage der von uns durchgeführten Prüfung eine Beurteilung über das Softwareprodukt abzugeben.
Wir haben unsere Prüfung unter Beachtung des IDW-Prüfungsstandards „Die Prüfung von
Softwareprodukten“ (IDW PS 880) durchgeführt. Danach ist die Softwareprüfung so zu
planen und durchzuführen, dass mit hinreichender Sicherheit beurteilt werden kann, ob
das Softwareprodukt bei sachgerechter Anwendung eine den Grundsätzen ordnungsmäßiger Buchführung - was die Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung
von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) einschließt - entsprechende Rechnungslegung ermöglicht und den auftragsgemäß zugrunde gelegten Kriterien entspricht.
Die Prüfung erfolgte auf Grundlage des IDW-Prüfungsstandard „Die Prüfung von Softwareprodukten“ (IDW PS 880).
Der Prüfung lagen folgende Prüfkriterien zu Grunde:
n IDW-Prüfungsstandard: Die Prüfung von Softwareprodukten (IDW PS 880, Stand 11.
März 2010)
n IDW-Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung
bei Einsatz von Informationstechnologie (IDW RS FAIT 1, Stand 24. September 2002)
n IDW-Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung
bei Einsatz von Electronic Commerce (IDW RS FAIT 2, Stand 29. September 2003)
n Gesetzliche Vorschriften des Handels- und Steuerrechts (§§ 238 ff. HGB, §§ 140 ff. AO)
Seite 22
ZUSAMMENFASSENDES ERGEBNIS UND
SOFTWAREBESCHEINIGUNG
n Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD), BMFSchreiben vom 14. November 2014.
Spezielle regulatorische, aufsichtsrechtliche oder aufgabenbezogene Anforderungen an
die Gestaltung rechnungslegungsrelevanter Verarbeitungsfunktionen wurden nicht berücksichtigt.
Die Anforderungen der Grundsätze ordnungsmäßiger Buchführung haben hierbei direkten
Einfluss auf die Gestaltung von Softwareprodukten, indem
n die allgemeinen Grundsätze gemäß §§ 238 und 239 HGB
n die funktionalen Grundlagen eines Buchführungsverfahrens (Beleg-, Journal-, Kontenfunktion) sowie
n die Anforderungen zur Dokumentation und Archivierung
von dem Softwarehersteller umzusetzen sind.
Bei unserem Prüfungsurteil ist zu berücksichtigen, dass die Ordnungsmäßigkeit eines Systems nur am konkreten Enzelfall entschieden werden kann. Neben dem eingesetzten
Buchführungssystem ist die Einbettung des Systems in die Organisation des Unternehmens
und die Gestaltung der Arbeits- und Belegabläufe maßgebend (Internes Kontrollsystem).
Deshalb kann aus dem Ergebnis der Prüfung nicht auf die Ordnungsmäßigkeit der mit der
Anwendung Microsoft Dynamics NAV 2015 erzielten Verarbeitungsergebnisse geschlossen
werden, sondern vielmehr darauf, ob die Anwendung den Anforderungen an maschinelle
Abrechnungssysteme entspricht, mit denen ordnungsgemäße Verarbeitungsergebnisse erzielt werden können.
Aufgrund der unserer Prüfung zugrunde gelegten Standards (Prüfkriterien) ergibt sich zusammengefasst folgende Stellungnahme zur Ordnungsmäßigkeit und Sicherheit der Anwendung Microsoft Dynamics NAV 2015:
„Nach unserer Beurteilung aufgrund der bei der Prüfung gewonnenen Erkenntnisse ermöglicht die von uns geprüfte Software Microsoft Dynamics NAV 2015, Teilgebiet Finanzbuchhaltung, bei sachgerechter Anwendung eine den Grundsätzen ordnungsmäßiger
Buchführung entsprechende Rechnungslegung - was die ordnungsmäße Führung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie den Datenzugriff
(GoBD) einschließt - und entspricht den vorstehend aufgeführten Kriterien.“
Die sachgerechte Anwendung schließt unter anderem auch ein, dass die vorhandenen
Protokollierungsfunktionen durch den Anwender sachgerecht konfiguriert und eingeschaltet werden und die Umsatzsteuer-Identifikationsnummern für die Erfassung eingeblendet
werden.
Im Einzelfall muss für unser Urteil nachweisbar sein, dass:
n die eingesetzte Softwareversion mit der von uns geprüften Version übereinstimmt und
keine individuellen Veränderungen am Programm vorgenommen wurden,
n die in der Dokumentation erläuterten Anwendungsvorschriften eingehalten und sachgerecht angewendet werden,
n die Programme in zeitlich und sachlich richtigem Zusammenhang eingesetzt werden,
Seite 23
ZUSAMMENFASSENDES ERGEBNIS UND
SOFTWAREBESCHEINIGUNG
n die im organisatorischen Umfeld des Programmsystems geltenden handels- und steuerrechtlichen Vorschriften eingehalten werden und
n das interne Kontrollsystem beim Anwender eine zuverlässige und sichere Anwendung
der Software gewährleistet.
Wir erteilen diese Bescheinigung auf Grundlage des mit der Microsoft Ireland Research,
Dublin, geschlossenen Auftrags, dem, auch mit Wirkung gegenüber Dritten, die beiliegenden Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften vom 01.01.2002 mit der Maßgabe zugrunde liegen, dass die darin enthaltenen Haftungshöchstgrenzen allen Personen gegenüber, die diese Bescheinigung mit unserer vorherigen Zustimmung erhalten haben, gemeinschaftlich besteht.
Wir weisen darauf hin, dass künftige Programmänderungen die Ordnungsmäßigkeit der
Software beeinflussen können.
Zu den einzelnen Prüfungsfeldern ist anzumerken:
Softwareentwicklungsverfahren
Im Rahmen unserer Prüfung nahmen wir Einsicht in die Softwareentwicklungs- und Qualitätssicherungsverfahren. Wir stellten umfangreiche und angemessene Softwareentwicklungs- und Qualitätssicherungsverfahren fest, die eine ordnungsgemäße Entwicklung,
Wartung und Freigabe der Anwendung ermöglichen. Für alle Phasen der Softwareentwicklung, -wartung und -freigabe sind entsprechende Dokumentationsvorgaben vorhanden,
die gemäß unserer Prüfung angewendet werden.
Das eingeführte Verfahren erfüllt insgesamt die gestellten Anforderungen.
Angemessenheit der Programmfunktionen
Die Beleg-, Journal- und Kontenfunktionen sowie Protokollierungsfunktionen sind in der
Anwendung gegeben. Die Protokollierungsfunktionen sind hinsichtlich des individuellen
Kontrollsystems des Anwenders und der Aufbewahrungspflichten zu konfigurieren. Der
Anwender hat die erforderlichen Eingaben zur Erfüllung der Belegfunktion zu tätigen.
Die Anwendung verfügt über ein eigenes Zugriffsschutzsystem. Weitreichende Einstellungsmöglichkeiten bezüglich der Passwortqualität (minimale Passwortlänge, Gültigkeitszeitraum, Protokollierung von Fehleingaben) sind über die Windows-Authentifizierung
nutzbar, die eine weitgehende Parametrisierung zulässt (siehe unten: „Softwaresicherheit“!).
Die in der Dokumentation enthaltenen Beschreibungen und Empfehlungen zur Ausgestaltung des Berechtigungsverfahrens für den Anwender sind insgesamt ausreichend.
Funktionsfähigkeit der Programmfunktionen
Die zu erfassenden Daten werden umfangreichen programmierten Kontrollen unterzogen.
Der Benutzer wird auf Eingabefehler in verständlicher Form hingewiesen. Dadurch wird
gewährleistet, dass nur fehlerfreie Daten an die nachfolgende Verarbeitung freigegeben
bzw. weiterverarbeitet werden.
Seite 24